Из приведенных ответов не понятно почему сертифицированная ОС (сертифицированная для соответствующих требований) не может рассматриваться как СЗИ. Не знаю что напсано в сертификате Майкрософта, но в сертификате ALT Linux написано соответствие 4 классу СВТ. Смотрим в "четыре книги" и если указана достаточность 4 класса СВТ, то зачем нужны дополнительные СЗИ?
Аттестуя любой объект информатизаци по требованиям безопасности информации, собственно говоря проверяются выполнение на объекте требований по безопасности (в вашем случае объект -ИСПДн, а требования к защите ПДн по тому или иному классу ИСПДн). По НСД почти все требования в "четереххнижии" ФСТЭК. А какими сертифицированными средствами вы будите выполнять эти требования неважно (вопрос цены и внедрения). Если ОС вы выполните требования для вашей ИСПДн и она сертифицирована пожалуйста :)))
"...если указана достаточность 4 класса СВТ, то зачем нужны дополнительные СЗИ?"
Если бы все было так просто :) К сожалению, в методических документах ФСТЭК указываются необзодимые, а отнюдь не достаточные требования :)
Автор:А.Щеглов, НПП "Информационные технологии в бизнесе" | 12269
11.08.2009 09:55
Существует следующая рекомендация:
Подсистему управления доступом, регистрации и учета рекомендуется реализовывать на базе программных средств блокирования несанкционированных действий, сигнализации и регистрации. Это специальные, не Входящие в ядро какой-либо операционной системы программные и программно-аппаратные средства защиты самих операционных систем, электронных баз ПДн и прикладных программ.
